Auth0设备授权流程需嵌入Client Secret？是否存在安全隐患？

• 不需要在设备固件中嵌入Client Secret
  Auth0的设备授权（Device Authorization Grant）流程本身就是为无浏览器、无法安全存储敏感信息的设备设计的，这类设备属于「公共客户端」范畴。按照OAuth 2.0规范，公共客户端不需要也不应该使用Client Secret。刷新令牌时，只需要提供client_id、refresh_token以及grant_type=refresh_token这几个参数就能完成操作，全程不需要用到Client Secret。

• 嵌入Client Secret属于严重安全漏洞
  没错，要是你硬把Client Secret编码进设备固件里，攻击者完全可以通过固件提取、反编译等逆向手段读出这个密钥。一旦密钥泄露，攻击者就能冒充你的合法设备向Auth0请求令牌，甚至篡改设备的授权逻辑，带来不可控的安全风险。

• 正确的刷新令牌操作方式
  调用刷新接口时，请求参数只需包含以下内容：

  grant_type=refresh_token
  client_id=你的设备客户端ID
  refresh_token=之前获取到的刷新令牌
  

  不需要添加任何和Client Secret相关的参数。

内容的提问来源于stack exchange，提问作者mark_dj